権威DNSのログはプロキシユーザーの元のIPを明らかにできるか？

権威DNSサーバーは通常、ウェブサイトの問い合わせを再帰リゾルバーから受け取ります。そのためクエリログの送信元IPは多くの場合そのリゾルバーを示し、ウェブサイトへのHTTP接続はフォワードプロキシから届きます。

1回の訪問に紐づけた一意のホスト名は、DNSクエリとウェブリクエストを対応づけられます。しかし、どのマシンが実際に権威サーバーへ問い合わせを送っているかは変わりません。

そのリゾルバーは訪問者のISP、公共DNSサービス、プロキシネットワーク、あるいは別の中継リゾルバーのものであり得ます。HTTP出口と異なるアドレスが見えることは別の観測点の証拠であり、訪問者の正確な元IPの自動的な証明ではありません。

例外もあります。訪問者が自分で再帰リゾルバーを運用する場合や、EDNS Client Subnetがクライアントネットワークの情報を露出する場合です。精度は実際に送られる内容に依存し、プレフィックス長も含まれます。サブネットは必ずしも1人の利用者のアドレスではありません。

プロキシのプライバシーテストを調べるときは、HTTP送信元、DNSクエリ送信元、クライアントサブネットのデータを別々に記録してください。ローカル側とプロキシ側の宛先解決はそのDNS経路を変え得ますが、結果が身元に関する主張を支えるには、まずこれらの区別が必要です。